US-Behörden veröffentlichen neue ICOs der AvosLocker-Ransomware

[English]Ich stelle mal die Information für Administratoren aus Unternehmensumgebungen hier im Blog ein. Das FBI und das US-Finanzministerium haben diese gerade neue Indicators of Compromise (IOCs) für die Ransomware AvosLocker veröffentlicht. Das sind Hinweise, wie man eine Infektion mit dieser Ransomware erkennen kann. Die Informationen lassen sich ggf. in eigenen SIEM-Systemen (Security Information and Event Management) verwenden.

Bei AvosLocker handelt es sich um eine seit dem 4. Juli 2021 bekannte Ransomware (siehe), die mit dem gleichnamigen Tool in Windows und Linux eindringen und dort Daten verschlüsseln sowie abziehen kann. Jeder Datei wird dann die spezifische Erweiterung .avos2 angefügt und die Gruppe versucht Lösegeld zu erpressen.

Die AvosLocker-Gang arbeitet auf dem Ransomware-as-a-Service (RaaS)-Prinzip und bietet Cyberkriminellen ihre Dienstleistung an. Die Gruppe hat es auf Opfer in verschiedenen kritischen Infrastrukturbereichen in den Vereinigten Staaten abgesehen, wobei aber die die Sektoren Finanzdienstleistungen, kritische Produktionsanlagen und Regierungseinrichtungen ausgeschlossen werden sollen. AvosLocker übernimmt auch die Lösegeldverhandlungen sowie die Veröffentlichung erbeuteter Opferdaten.

Im Blog von Qualsys gibt es diese technische Analyse der Malware – und die Kollegen von Bleeping Computer haben im Januar 2022 diesen Artikel veröffentlicht. Anlass war, dass die AvosLocker Ransomware-Gang ihrer Malware-Varianten die Unterstützung zur Verschlüsselung von Linux-Systemen hinzugefügt hat und dabei speziell auf virtuelle VMware ESXi-Maschinen abzielt.

Auf tarnkappe de gibt es diesen deutschsprachigen Beitrag, der sich etwas ausführlicher mit einem Fall von Ransomware-Infektion mit AvroLocker befasst. Dort war eine US-Polizeidienststelle, worauf die Ransomware-Gang in diesem Fall einen Decrypter samt Schlüssel zur kostenlosen Entschlüsselung bereitgestellte.

In obigem Tweet weist Catalin Cimpanu auf diesen Artikel (PDF) hin, in dem das FBI und das US-Finanzministerium neue Indicators of Compromise (IOCs) für die Ransomware AvosLocker veröffentlicht haben. Das ist vielleicht für Sicherheitsverantwortliche von Interesse, die ihre SIEM-Systeme um die erforderlichen ICOs zur Erkennung einer Infektion erweitern möchten. Zudem enthält das PDF-Dokument eine Liste der bekannten Schwachstellen (Exchange Server Proxy Shell etc.), die für Angriffe benutzt werden.